Wireguard: Manche Dienste nicht erreichbar

[tplusbase]

Hallo,
bei mir läuft Wireguard auf einem Raspi und ich kann mit dem Smartphone problemlos IPs im Heimnetz erreichen, z. B. 192.168.1.1 (Fritzbox) oder 192.168.1.130:81/stream (Webcam).

Aber: Einige Dienste sind nicht erreichbar, z. B.

<raspi-ip>:8083/fhem (FHEM web interface)
<raspi-ip>:1883 (MQTT)
<raspi-ip>:631 (CUPS web interface)

Bei den ersten beiden gibt es einfach keine Verbindung, CUPS meldet "Verboten". Auch wenn das Smartphone im 192.168.1.1 Netz ist, das gleiche Wo liegt das Problem?
Besten Dank für Tipps...

 

[snaxilian]

Lokale Firewall am Raspi könnte z.B. nur Zugriffe aus dem lokalen Netz oder bestimmte Clients erlauben oder du kannst Zugriffskontrollen auch im Webserver konfigurieren (bzgl. FHEM und CUPS) und vermutlich hat auch dein MQTT Broker die Möglichkeit für ACLs...

 

[OMGWTFBBQ]

Du musst die Konfigurationsdatei auf dem Smartphone entsprechend anpassen, sodass das Handy nicht aus dem Tunnel ausbricht für die entsprechenden Adressen.

 

[tplusbase]

Sollte nicht

AllowedIPs = 0.0.0.0/0, ::/0

Sämtlichen Traffic über den Tunnel leiten?

Was soll ich sonst einstellen?

 

[riversource]

Es fällt auf, dass du Geräte im Netz erreichen kannst, aber Dienste direkt auf dem VPN Server nicht. Da kommt mir auf Anhieb die Frage, ob die Dienste auch auf dem VPN Interface lauschen, also z.B. der Webserver. Das muss man ja entsprechend einrichten.

 

[tplusbase]

Ich erreiche z. B. den Apache Server auf dem Raspi auf Port 80 oder 81. Und CUPS scheint ja zu lauschen, meldet aber "Verboten".
Die Ports erreiche ich aus dem lokalen Netz ohne VPN problemlos und auch über die VPN Koppelung zweier Fritzboxen (IPSEC, nicht Wireguard).

 

[riversource]

Die Ports erreiche ich aus dem lokalen Netz ohne VPN problemlos und auch über die VPN Koppelung zweier Fritzboxen (IPSEC, nicht Wireguard).

In beiden Fällen kommen die Pakete über eth0 beim Raspi an, und nicht über VPN.

Deine Aussage bestätigt aber nur: Die Dienste sind nicht dafür eingerichtet, Pakete vom VPN Interface zu akzeptieren. Es passt alles zusammen.